KOMISIJAS ĪSTENOŠANAS REGULA (ES) 2025/302 (2024. gada 23. oktobris), ar ko nosaka īstenošanas tehniskos standartus Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 piemērošanai attiecībā uz standarta veidlapām, veidnēm un procedūrām finanšu vienību ziņojumiem par būtiskiem ar IKT saistītiem incidentiem un paziņojumiem par būtiskiem kiberdraudiem (Dokuments attiecas uz EEZ)

(1)

Lai nodrošinātu, ka finanšu vienības konsekventi ziņo savām kompetentajām iestādēm par būtiskiem incidentiem un ka tās minētajām iestādēm sniedz kvalitatīvus datus, būtu jāprecizē, kuri datu lauki finanšu vienībām ir jāsniedz dažādos Regulas (ES) 2022/2554 19. panta 4. punktā minētajos ziņošanas posmos. Ir svarīgi, ka šī informācija tiek sniegta tā, lai būtu iespējams gūt vienotu pārskatu par incidentu. Tāpēc šiem nolūkiem ir jānosaka vienota ziņošanas veidne.

(2)

Finanšu vienībām būtu jāaizpilda tie ziņošanas veidnes datu lauki, kas atbilst attiecīgā paziņojuma vai ziņojuma informācijas prasībām. Tomēr finanšu vienībām, kuru rīcībā jau ir informācija, kas tām jāsniedz vēlākā ziņošanas posmā, t. i., starpposma vai gala ziņojumā, būtu jāļauj iesniegt datus pirms termiņa.

(3)

Tā kā vairāki vai daudzkārtēji incidenti var veidot būtisku incidentu, kā minēts Komisijas Deleģētās regulas (ES) 2024/1772 (2) 8. pantā, ziņošanas veidnes un datu lauku struktūrai būtu jāļauj finanšu vienībām ziņot par šādiem daudzkārtējiem incidentiem.

(4)

Lai nodrošinātu, ka informācija ir precīza un atjaunināta, ziņošanas veidnei būtu jāļauj finanšu vienībām, kad tās iesniedz starpposma ziņojumu un gala ziņojumu, atjaunināt visu iepriekš iesniegto informāciju un vajadzības gadījumā būtiskus incidentus pārklasificēt par nebūtiskiem.

(5)

Vienību juridiskajai identifikācijai vajadzētu būt saskaņā ar identifikatoriem, kas norādīti īstenošanas tehniskajos standartos, kuri pieņemti saskaņā ar Regulas (ES) 2022/2554 28. panta 9. punktu.

(6)

Ja finanšu vienības būtisku ar IKT saistītu incidentu ziņošanas pienākumus nodod ārpakalpojumā trešajai personai, kompetentajām iestādēm pirms pirmā paziņojuma vai ziņojuma iesniegšanas būtu jāzina tās trešās personas, kas finanšu vienības vārdā sniedz ziņojumus, identitāte, lai pārbaudītu ziņojošās trešās personas leģitimitāti.

(7)

Lai būtu viegli identificēt tāda incidenta ietekmi, kurš radies pie trešās personas, kas ir pakalpojumu sniedzējs, vai ko izraisījusi šāda trešā persona un kurš ietekmē vairākas finanšu vienības vienā dalībvalstī, un lai finanšu vienībām samazinātu ziņošanas slogu, ziņošanas veidnē būtu jāļauj iesniegt apkopotu ziņojumu, kas aptver apkopotu informāciju par incidenta ietekmi uz visām ietekmētajām finanšu vienībām, kuras incidentu klasificējušas kā būtisku.

(8)

Ziņošanas veidne būtu jāizstrādā tehnoloģiski neitrālā veidā, lai to varētu izmantot dažādos incidentu ziņošanas risinājumos, kas jau pastāv vai ko var izstrādāt Regulas (ES) 2022/2554 prasību īstenošanai.

(9)

Ziņošanas veidnes un datu lauku struktūrai būtu jāatvieglo trešajām personām, kurām finanšu vienības savu ziņošanas pienākumu nodod ārpakalpojumā saskaņā ar Regulas (ES) 2022/2554 19. panta 5. punktu, ziņošana par būtiskiem ar IKT saistītiem incidentiem.

(10)

Šīs regulas pamatā ir īstenošanas tehnisko standartu projekts, ko Komisijai iesniegušas Eiropas uzraudzības iestādes.

(11)

Eiropas Uzraudzības iestādes ir veikušas atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, izvērtējušas potenciālās saistītās izmaksas un ieguvumus un pieprasījušas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (3), (ES) Nr. 1094/2010 (4) un (ES) Nr. 1095/2010 (5) 37. pantu izveidotās Banku nozares ieinteresēto personu grupas konsultāciju.

(12)

Notika apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju (EDAU) saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (6) 42. panta 1. punktu, un EDAU 2024. gada 22. jūlijā sniedza pozitīvu atzinumu. Jebkāda personas datu apstrāde, kas ietilpst šīs regulas darbības jomā, būtu jāveic saskaņā ar piemērojamajiem datu aizsardzības principiem un noteikumiem, kas izklāstīti Regulā (ES) 2018/1725,